
## Synthèse De L'Inspection Division De Strasbourg

 
Strasbourg, le 12 juillet 2017 N/Réf. : CODEP-STR-2017-028106 Monsieur le directeur du centre nucléaire de production d'électricité de Fessenheim BP n°15 68740 FESSENHEIM
N/Réf. dossier : INSSN-STR-2017-0181 Objet : Contrôle des installations nucléaires de base CNPE de Fessenheim Inspection du 01/06/2017 Thème : management de la sûreté - traitement des écarts Réf : [1] Arrêté du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires de base 
[2] Note EDF D5190-16.0688 NA0909 indice 0 - modalités de traitement des écarts sur le CNPE de Fessenheim 
[3] Décision de l'ASN n° 2014- DC-0444 du 15 juillet 2014 relative aux arrêts de réacteur 
[4] Note EDF D5190-00.0952-NA 00/05 indice 6 - rôle et fonctionnement du groupe technique de sûreté 
[5] Note EDF D455016131944 indice 5 - DI55 - Gestion des écarts 
[6] CODEP-STR-2017-001520 - inspection du 15/12/2016 - thème : inspection de chantier 
[7] D519017L0038-I00 du 16 mars 2017 - suites inspection n°INSSN-STR-2016-0181 Monsieur le directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base, une inspection a eu lieu le 1er juin 2017 au centre nucléaire de production d'électricité de Fessenheim sur le thème « management de la sûreté ». Je vous communique ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites, à cette occasion, par les inspecteurs. 

L'inspection du 1er juin 2017 portait sur le thème du « management de la sûreté » et plus particulièrement sur les dispositions prises par le site de Fessenheim en matière de détection, de caractérisation et de traitement des écarts au sens de l'arrêté [1] (nommés ci-après « écarts »). 

Les contrôles réalisés par sondage ont porté sur les modalités d'identification et de caractérisation des écarts affectant les éléments importants pour la protection (EIP) des intérêts mentionnés à l'article L 593-1 du code de l'environnement, au sens de l'article 1.3 de l'arrêté [1]. 

Les inspecteurs retiennent que les dispositions du processus interne en vigueur sur le site de Fessenheim pour l'identification et la caractérisation des écarts sont globalement respectées. 

Néanmoins, les inspecteurs ont constaté que le processus de détection des écarts doit être renforcé pour permettre, en ce qui le concerne, d'identifier, notamment, les exigences définies, les mesures de contrôle technique et de vérification, ainsi que les outils d'enregistrement nécessaire à une vérification a posteriori au sens de l'arrêté [1]. Les inspecteurs ont constaté que certaines anomalies ou dysfonctionnements affectant des EIP n'étaient pas caractérisés par vos services en tant qu'écarts, bien que le non-respect d'exigences définies associées à ces EIP ait été établi durant l'inspection. Dans ces conditions, les inspecteurs retiennent que les dispositions actuellement mises en œuvre ne permettent pas de manière exhaustive l'identification et la caractérisation par vos services des écarts au sens de l'arrêté [1] affectant les EIP. 

Enfin, les inspecteurs constatent que le processus décisionnel [4], en cas de doute sérieux affectant la capacité d'un EIP à remplir sa fonction, est décrit et appliqué. Cependant, l'examen du relevé de décisions associé au traitement de l'écart affectant le système de refroidissement du réacteur à l'arrêt (RRA) tend à montrer que la robustesse du processus n'est pas suffisante, notamment en ce qui concerne le délai de consultation du groupe technique de sureté, l'assurance de la pertinence des décisions, la capacité a posteriori de ré-interrogation ou d'action de la filière indépendante de sureté. De plus, l'examen a posteriori révèle une maîtrise insuffisante des exigences définies et de l'interprétation des référentiels d'exploitation et de leurs modalités d'application. 

Ainsi, le défaut de maîtrise des exigences définies, et une lecture limitée à l'analyse du débit de fuite acceptable, ont conduit vos services à s'interroger tardivement sur l'aptitude du système RRA à assurer sa fonction. 

## A. Demandes D'Actions Correctives Management De La Sûreté - Traitement Des Écarts : Phase De Détection

Votre note [2] expose que la détection de situations inattendues, dans les domaines organisationnel, humain et matériel, peut être assurée par tout agent EDF ou prestataire. Si une telle situation est rencontrée, alors un 
« constat » est partagé, respectivement avec le responsable hiérarchique ou avec le donneur d'ordre EDF. Les constats font ensuite l'objet d'une analyse pour déterminer s'ils doivent, ou non, faire l'objet d'une ouverture d'une fiche constat (FC) pour toute anomalie matérielle, d'un constat simple (CS) pour tout constat relatif à la réalisation d'une activité importante pour la protection (AIP), ou d'une demande d'intervention (DI) pour certains constats ne relevant pas des critères d'ouverture d'une FC. Les FC et CS ainsi enregistrés servent de données d'entrée pour la suite du processus de traitement des écarts (phases de caractérisation et de traitement adapté aux enjeux). Lors de l'inspection, il a été indiqué aux inspecteurs que certains constats analysés ne relèvent ni d'une FC, ni d'un CS, ni d'une DI et sont donc écartés du processus de traitement des écarts. 

Demande A.1.a : Je vous demande que l'ensemble des constats assurant la détection de situations inattendues soit intégré dans le processus de traitement des écarts même si, in fine, ils ne relèvent pas par la suite d'un écart. 

La phase de détection des écarts, dont l'analyse des constats fait partie, est une AIP, puisqu'elle permet notamment de s'assurer du respect des exigences définies pour les EIP et les AIP. Ainsi, cette activité est soumise aux dispositions de contrôle technique, de vérification et de traçabilité prévues par les articles 2.5.2 à 2.5.6 de l'arrêté [1]. 

Vos services n'ont pas été en mesure de présenter les modalités de contrôle technique, de vérification et de traçabilité prévues aux articles 2.5.3 à 2.5.6 de l'arrêté [1] qui devraient être mises en œuvre pour encadrer l'analyse des constats n'entrant pas in fine dans le processus de traitement d'un écart. 

Demande n°A.1.b : Je vous demande, conformément aux articles 2.5.3 à 2.5.6 de l'arrêté [1], de mettre en place les modalités nécessaires de contrôle technique, de vérification et de traçabilité pour l'activité d'analyse des constats remontés par tout intervenant.

Par ailleurs, votre note [2] précise dans son annexe 1 que la liste des critères d'ouverture des FC n'est pas exhaustive et n'est pas prescriptive. Or, ces critères devraient faire partie des exigences définies afférentes à l'AIP 
« analyse des constats » permettant d'en assurer un contrôle technique et une vérification. 

Demande n°A.2 : Je vous demande, conformément à l'article 2.5.2 de l'arrêté [1], d'identifier et de me communiquer les exigences définies associées à l'AIP « analyse des constats ».

## Management De La Sûreté - Traitement Des Écarts : Phase De Caractérisation

Les inspecteurs ont examiné par sondage certaines demandes d'intervention (DI), auxquelles le processus de caractérisation en écart n'est pas appliqué. Les inspecteurs ont notamment étudié la DI n° 719507 qui concerne un mauvais réglage des détendeurs de la bâche du système de secours d'alimentation en eau des générateurs de vapeur (ASG) et identifié comme EIP. Ces détendeurs s'assurent du maintien en légère surpression d'un matelas gazeux d'azote visant à garantir le respect de la teneur en oxygène de l'eau contribuant au maintien de l'intégrité du circuit primaire au travers du conditionnement chimique du fluide secondaire. Le rapport de sûreté précise que le matelas gazeux est maintenu à une surpression d'environ 0,015 MPa (soit 150 mbars). Les éléments présentés aux inspecteurs à propos de l'anomalie matérielle tracée par la DI n° 719507 indiquent une pression du matelas gazeux d'environ 45 mbars. En application de l'article 1.3 de l'arrêté [1], le non-respect d'une exigence définie associée à un EIP constitue un écart. Cette anomalie devrait donc être caractérisée par vos services comme un écart et donc être redevable d'un plan de traitement adapté aux enjeux. Les inspecteurs ont contrôlé par sondage la liste des FC non caractérisées par vos services en qualité d'écart. 

C'est le cas, par exemple, de la FC n° 9596 qui concerne le non-respect d'un critère de groupe A lors de la réalisation d'un essai périodique sur la soupape 2 RCP 052VP, identifiée comme EIP. Compte tenu de la classification des critères issue de la section 1 du chapitre IX des règles générales d'exploitation (RGE) en vigueur sur le CNPE de Fessenheim, un critère de groupe A peut être assimilé à une exigence définie de l'EIP considéré. Ainsi, en application de l'article 1.3 de l'arrêté [1], le non-respect d'un critère de groupe A constitue un écart et ce malgré le fait que la conduite à tenir, du fait de l'indisponibilité du matériel affecté par l'écart, ait bien été respectée. En effet, les notions d'écart et d'exigence définie portées par l'arrêté en référence [1] visent un EIP 
afin qu'il remplisse, avec les caractéristiques attendues, la fonction prévue dans la démonstration de protection des intérêts. Dès lors que l'EIP est considéré comme indisponible, cela signifie qu'il n'est plus en mesure d'assurer sa fonction. La conduite à tenir prévue par les RGE permet, quant à elle, de gérer l'indisponibilité de l'EIP vis-à-vis de la protection des intérêts, mais pas de dédouaner l'anomalie constatée du statut d'écart. 

Par ailleurs, les inspecteurs ont constaté que plusieurs FC ont été ouvertes à la suite de non-conformités au plan. 

Les inspecteurs ont rappelé que la conformité au plan est une exigence définie car elle contribue aux caractéristiques attendues de l'EIP afin qu'il remplisse sa fonction. 

 
La caractérisation d'une anomalie ou d'un dysfonctionnement en « écart » au titre de l'arrêté [1] dépend de la maîtrise par l'exploitant des exigences définies afférentes applicables aux matériels au titre de l'article 2.4.1.III de ce même arrêté. Cependant, vos services n'ont pas été en mesure de présenter aux inspecteurs, pour un EIP 
donné, une liste exhaustive des exigences définies associées. 

Dans ce contexte, les dispositions prises pour la caractérisation des écarts mentionnées dans la note [2], ne semblent pas permettre d'identifier de manière satisfaisante les écarts au sens de l'arrêté [1].

Demande n°A.3 : Je vous demande de renforcer votre processus de caractérisation des écarts en établissant des critères permettant d'identifier les écarts conformément aux dispositions de l'arrêté [1]. 

Vous me ferez part des actions réalisées en ce sens.

Demande n°A.4 : Par la suite, je vous demande de me présenter un plan d'action permettant de procéder au réexamen de l'ensemble des DI, FC et CS enregistrés et non clos en tenant compte des évolutions apportées à votre processus. Vous veillerez à identifier les exigences définies, au sens de l'arrêté [1], qui ne seraient pas respectées afin d'actualiser la liste des écarts affectant votre installation.

Les inspecteurs se sont intéressés au processus de caractérisation de l'anomalie affectant le système de refroidissement du réacteur à l'arrêt (RRA), détectée lors du redémarrage du réacteur n° 1 en janvier 2017. Les inspecteurs ont constaté un défaut de définition des exigences définies associées au RRA, puisque aucune liste exhaustive n'a pu être présentée le jour de l'inspection. Le rapport de sûreté du CNPE de Fessenheim précise que l'une des fonctions de sûreté rattachées au système RRA est le confinement des substances radioactives. En particulier, l'intégrité de l'enveloppe du système RRA 
(tuyauteries et équipements), qui participe au confinement, est assurée en toutes circonstances jusqu'à une certaine pression décrite dans le rapport de sûreté grâce à des soupapes de protection. Ainsi, l'intégrité et l'absence de fuite deviennent de fait des exigences définies associées au système RRA en complément de l'exigence définie relative à la fonction de refroidissement. 

D'après les éléments qui ont été présentés aux inspecteurs, une fuite sur le système RRA dont l'origine était inconnue1 a été confirmée à partir de mi-février 2017. À cet instant, l'anomalie aurait dû être caractérisée en écart et ce d'autant plus que son origine et son comportement lors d'une remise en service du circuit ne pouvaient être connus avec certitude. 

Demande n°A.5 : Je vous demande de tirer le retour d'expérience de la non caractérisation comme écart de cette anomalie et, conformément à l'article 2.5.1 de l'arrêté [1] de veiller à mettre en place les 

## Dispositions Nécessaires À L'Identification De L'Ensemble Des Exigences Définies Afférentes Aux Eip.

Bien que la confirmation d'une fuite dont l'origine n'était pas identifiée sur le système RRA a eu lieu dès mifévrier 2017, le groupe technique de sûreté (GTS) extraordinaire, instance décisionnelle pour les problématiques de sûreté, ne s'est réuni que le 15 mars 2017 pour statuer sur la disponibilité du système RRA. Le GTS 
extraordinaire ne s'est tenu qu'après que vos services d'ingénieries aient réalisé une estimation du débit de fuite en cas de connexion du système RRA avec le circuit primaire (RCP). L'approche retenue par vos équipes consistait à évaluer la disponibilité du système RRA dans deux états différents du réacteur, en arrêt normal (le système RRA est connecté au circuit primaire) et en production (le système RRA est isolé du circuit primaire) en quantifiant le débit de fuite et à le comparer à celui définissant la conduite à tenir dans les spécifications techniques d'exploitation (STE) en cas de fuites non quantifiées inférieures à 230 L.h-1 du système principal de refroidissement. 

Les inspecteurs constatent que cette approche ne correspond pas à l'exigence définie de confinement pour le circuit RRA et qu'elle se limite à évaluer la disponibilité au sens des STE vis-à-vis d'un des critères définissant la conduite à tenir en cas de fuite sans s'interroger plus largement sur la capacité du circuit RRA à assurer sa fonction de sureté notamment d'une possible modification des caractéristiques de la fuite compte tenu des transitoires thermiques et de pression subis par le circuit lors de sa mise en service. Ainsi, le défaut de maîtrise des exigences définies et une lecture limitée à l'analyse du débit de fuite acceptable ont conduit vos services à s'interroger tardivement sur l'aptitude du système RRA à assurer sa fonction. 

Le GTS extraordinaire a fait l'objet du relevé de décision n° 2017-013. Celui-ci conclut à la disponibilité du système RRA. Cette décision est motivée d'une part, par la prise en considération d'une estimation du débit de fuite (100 L.h-1) n'empêchant pas le système RRA d'assurer le refroidissement du combustible et d'autre part sur le fait que le doute sur l'indisponibilité du RRA n'est pas suffisamment caractérisé. 

Les inspecteurs remarquent que ce débit est calculé sur la base d'hypothèses peu conservatives (non prise en compte de l'effet de la température du fluide et d'une évolution potentielle de la taille de la brèche lors du transitoire de mise en service ou lors du fonctionnement). Les inspecteurs retiennent que la conclusion du GTS ne se base pas sur les résultats les plus conservatifs vis-à-vis de la sûreté nucléaire et sur une approche ne prenant pas en compte pleinement les exigences définies. 

Par ailleurs, la lecture du relevé de décision du GTS montre que les différentes estimations du débit de fuite en cas de connexion du RRA dépassent largement le critère de 230 L.h-1 et présentent une variabilité d'un facteur de 1 à 5 en fonction des hypothèses retenues. 

Par ailleurs, la position de la filière indépendante de sûreté (FIS) était de considérer le système RRA comme partiellement indisponible sur la base d'un temps de repli allongé du fait d'une fuite importante. La FIS a également rappelé que les actions engagées résultant de l'indisponibilité partielle du système RRA permettent de satisfaire au principe de « ne pas laisser l'installation dans un état dégradé » porté par les RGE. 

Malgré ces constats, le président a décidé de ne pas suivre la position de FIS et de déclarer le système RRA 
disponible après avoir retenu le débit de fuite le plus faible (inférieur à 230 L.h-1) en cas de connexion du système RRA au circuit primaire. Il résulte ainsi que la décision prise en GTS n'apparaît pas pertinente, notamment en ce qui concerne la prise en compte des incertitudes sur capacité du RRA à assurer sa fonction. Par ailleurs, cette décision n'a pas fait l'objet de ré-interrogation par la suite notamment par la FIS. 

Demande n°A.6 : Je vous demande de prendre en compte le retour d'expérience du traitement de cet écart, notamment vis-à-vis du processus décisionnel en vigueur sur le CNPE de Fessenheim. Vous me ferez part des actions mises en œuvre suite à ce retour d'expérience. 

## B. Compléments D'Information Management De La Sûreté - Traitement Des Écarts : Phase De Détection

Votre note [2] indique que la première étape du processus de traitement des écarts est la « détection des constats » par les intervenants et en donne une définition générale sans faire référence à des documents portant des exigences détaillées. 

Demande n°B.1 : Je vous demande de me préciser comment vous vous assurez de la bonne mise en œuvre du processus de détection par les intervenants EDF et extérieurs, notamment qu'ils aient connaissance de leur rôle dans ce processus et maîtrisent les exigences. 

## Observation Terrain

Les inspecteurs ont constaté que la porte référencé 2 JSM 206 PD de séparation des deux salles des machines était ouverte afin de permettre le passage de tuyaux assurant le transfert d'effluents rendant sa fermeture impossible. Ce constat a déjà été fait lors d'une inspection le 15 décembre 2016 [6]. Vos services ont indiqué en réponse [7] que ce tuyau permettait la vidange du poste d'eau pendant l'arrêt du réacteur et qu'il peut également être utilisé lors du redémarrage du réacteur n° 2. De plus, il était indiqué que « compte tenu du report de la date de couplage de la tranche 2, […] le tuyau a été retiré permettant ainsi la refermeture de la porte ». 

Selon les éléments que vous avez apportés lors de l'inspection du 15 décembre 2016, cette porte ne constitue pas un élément de sectorisation incendie au titre de la sûreté. Néanmoins, sa fermeture peut permettre de retarder la propagation d'un incendie, de ses fumées et faciliter l'intervention de services de secours. Elle concourt ainsi à la protection des intérêts mentionnés à l'article L. 593-1 du code de l'environnement. 

Demande n°B.2 : Je vous demande de m'indiquer les raisons motivant le maintien en position ouverte de la porte 2 JSM 206 PD de séparation des deux salles des machines.

## C. Observations

Pas d'observation. 

Vous voudrez bien me faire part sous deux mois des remarques et observations, ainsi que des dispositions que vous prendrez pour remédier aux constatations susmentionnées. Pour les engagements que vous prendriez, je vous demande de les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Je vous prie d'agréer, Monsieur le directeur, l'assurance de ma parfaite considération. 

Le chef de la division de Strasbourg 

## Signé Par

Pierre BOIS 